BGP kaçırma, internetin yönlendirme altyapısında sahte duyurular yapılarak trafiğin saldırganın belirlediği yola çekilmesidir. İnternetteki ağlar birbirlerine hangi adres bloklarına sahip olduklarını duyurur ve bu duyurulara göre trafik yönlendirilir. Protokolün özgün tasarımında bu duyuruların doğruluğu denetlenmez. Bir ağ, kendisine ait olmayan bir bloku duyurabilir ve trafiği kendine çekebilir. Bu boşluk, protokolün en bilinen zafiyetidir. Etkisi küresel olabilir.

Olayların bir kısmı kasıtlı saldırı değil yapılandırma hatasıdır. Yanlış girilen bir duyuru, büyük ölçekli kesintilere yol açabilir. Geçmişte yaşanan olaylarda önemli hizmetler saatlerce erişilemez hâle gelmiştir. Kasıtlı olanlar ise trafik dinleme ve yönlendirme amacı taşır. İki durumun teknik görünümü benzerdir. Ayrım niyet ve süre üzerinden yapılır.

BGP Kaçırma Nedir?

BGP kaçırma, internet yönlendirme protokolünde sahte ya da hatalı duyurular yapılarak bir adres blokuna ait trafiğin yetkisiz bir ağa yönlendirilmesidir.

Saldırının etkili olması için duyurunun diğer ağlar tarafından kabul edilmesi gerekir. Daha dar bir adres bloku duyurulması, yönlendirme tercihini değiştirir ve trafiği çeker. Bu teknik, en yaygın kullanılan yöntemdir. Ayrıca yol bilgisi manipüle edilerek de tercih değiştirilebilir. İki yöntem de aynı sonucu üretir. Tespit benzer biçimde yapılır.

Ne Amaçla Yapılır?

Birinci amaç trafiğin dinlenmesidir. Yönlendirilen trafik saldırgan üzerinden geçirilir, kaydedilir ve ardından gerçek hedefe iletilir. Kullanıcılar bir anormallik fark etmez. Şifreli trafikte içerik görülemez ama üst veriler yine değerlidir. Bu nedenle şifreleme tek başına yeterli değildir. Sertifika doğrulaması da kritik önemdedir.

İkinci amaç hizmet kesintisidir. Trafiğin bir kara deliğe yönlendirilmesi, hedef hizmetin erişilemez olmasına yol açar. Bu etki, klasik hacimli saldırılardan daha az kaynak gerektirir. Kesinti süresi, düzeltmenin yayılma hızına bağlıdır. Müdahale sağlayıcılarla iletişim gerektirir. Süreç zaman alır.

Üçüncü amaç, sertifika elde etmektir. Alan adı doğrulaması yapan sertifika otoriteleri, doğrulama trafiğini yönlendiren saldırgana sertifika verebilir. Bu sertifika, sonraki saldırılarda kullanılır. CAA kaydı ve sertifika izleme bu riski azaltır. İki önlem birlikte kullanılır. İzleme sürdürülür.

• Trafiğin dinlenmesi ve üst verilerin toplanması
• Hizmet kesintisi ve trafiğin kara deliğe yönlendirilmesi
• Sertifika doğrulamasının istismar edilmesi
• İstenmeyen posta ve dolandırıcılık altyapısı kurulması
• Yapılandırma hatasından kaynaklanan kazara olaylar

Nasıl Tespit Edilir?

Tespit, kurumun kendi adres bloklarına ait duyuruların izlenmesiyle yapılır. Beklenmedik bir ağın kurumun blokunu duyurması güçlü bir işarettir. Bu izleme, bağımsız gözlem noktalarından yapılan ölçümlerle sağlanır. Birçok ücretsiz ve ticari hizmet bu izlemeyi sunar. Kurulum kolaydır. Uyarı tanımlanabilir.

İkinci gösterge, yönlendirme yollarındaki ani değişikliklerdir. Trafiğin normalde geçmediği ağlardan geçmeye başlaması dikkat çekicidir. Bu değişiklik gecikme ölçümlerinde de görülebilir. İzleme sistemleri bu metriği toplayabilir. Anormallik uyarı üretir. İnceleme başlatılır.

Üçüncü gösterge, sertifika şeffaflığı kayıtlarıdır. Kurumun alan adı için beklenmedik bir sertifika üretilmesi, doğrulama trafiğinin yönlendirildiğini gösterebilir. Sertifika şeffaflığı izlemesi bu tespiti sağlar. İki izleme birlikte değerlendirilir. Bağlantı kurulur.

Nasıl Korunulur?

Birinci önlem, kaynak doğrulama altyapısının kullanılmasıdır. Bu altyapı, hangi ağın hangi adres blokunu duyurmaya yetkili olduğunu kriptografik olarak kaydeder. Duyuruları doğrulayan sağlayıcılar, yetkisiz duyuruları reddeder. Yönlendirme güvenliği altyapısı bu doğrulamayı sağlar. Benimseme artmaktadır. Kapsam genişlemektedir.

İkinci önlem, sağlayıcılarla filtreleme anlaşmaları yapılmasıdır. Kurumun sağlayıcısı, yalnızca kayıtlı bloklara ait duyuruları kabul etmelidir. Bu filtreleme, hatalı duyuruların yayılmasını engeller. Sözleşmede yer alması önerilir. Uygulama doğrulanmalıdır. Test edilebilir.

Üçüncü önlem, izleme ve hızlı müdahale kabiliyetidir. Olay tespit edildiğinde sağlayıcılarla iletişime geçilerek düzeltme talep edilir. Bu iletişimin kimler tarafından ve hangi kanaldan yapılacağı önceden belirlenmelidir. İletişim bilgileri güncel tutulmalıdır. Kriz anında arama yapılmaz. Hazırlık önemlidir.

Kurumsal Hazırlık

Kurumun kendi adres blokları varsa, kayıt bilgilerinin doğru ve güncel olması gerekir. Yetkilendirme kayıtlarının oluşturulması ve doğru yapılandırılması ilk adımdır. Hatalı kayıtlar meşru duyuruların reddedilmesine yol açabilir. Bu nedenle dikkatli yapılmalıdır. Doğrulama araçları kullanılır. Sonuç kontrol edilir.

Kendi adres bloku olmayan kurumlar için ise izleme ve sağlayıcı seçimi öne çıkar. Sağlayıcının doğrulama yapıp yapmadığı sorgulanmalıdır. Bu bilgi tedarik değerlendirmesinin bir maddesi olabilir. Üçüncü taraf risk yönetimi kapsamında ele alınır. Kriterler yazılır. Karar belgelenir.

İş sürekliliği planında da bu senaryo yer almalıdır. Yönlendirme kaynaklı bir kesinti, kurumun kendi altyapısında çözülemez. Bu nedenle iletişim ve tırmandırma adımları önceden tanımlanır. Alternatif erişim yolları değerlendirilir. Plan tatbik edilir. Hazırlık ölçülür.

Tarihsel Olaylardan Dersler

Geçmişte yaşanan büyük olaylar, protokolün ne kadar kırılgan olduğunu göstermiştir. Yanlış girilen tek bir duyuru, büyük hizmetlerin dünya genelinde erişilemez olmasına yol açmıştır. Bu olayların çoğu kasıtlı saldırı değil yapılandırma hatasıdır. Etki ise aynıdır. Bu gerçek, filtreleme ve doğrulamanın önemini gösterir. Önlemler her iki durumu da kapsar.

Kasıtlı olaylarda ise genellikle kripto para servisleri ve finansal hizmetler hedef alınmıştır. Trafiğin kısa süreliğine yönlendirilmesi, kimlik bilgisi toplama için yeterli olmuştur. Bu olaylar, şifrelemenin tek başına yeterli olmadığını göstermiştir. Sertifika doğrulaması ve izleme kritik önemdedir. İki katman birlikte çalışır. Eksikliği sonuç üretir.

Olaylardan çıkan ortak ders, tespit hızının belirleyici olduğudur. Kısa süren olaylarda etki sınırlı kalırken uzun sürenlerde büyür. Bu nedenle izleme yatırımı doğrudan risk azaltımıdır. Uyarı geldiğinde müdahale süreci hazır olmalıdır. Hazırlık farkı yaratır. Plan yazılı olmalıdır.

Sağlayıcı Değerlendirmesi

Kurumun internet servis sağlayıcısının yönlendirme güvenliği uygulamaları değerlendirilmelidir. Kaynak doğrulama yapıp yapmadığı, filtreleme politikaları ve olay bildirim süreçleri sorgulanır. Bu bilgiler tedarik değerlendirmesinin parçası olmalıdır. Sözleşmeye madde eklenebilir. Denetim hakkı talep edilir. Kriterler yazılır.

Birden fazla sağlayıcı kullanımı da bir dayanıklılık stratejisidir. Bir sağlayıcıda yaşanan sorun, diğeri üzerinden telafi edilebilir. Bu yapı maliyet artırır ama süreklilik sağlar. Kritik hizmetlerde tercih edilir. Karar iş etkisi analizine dayanır. Maliyet karşılaştırılır.

Sağlayıcıyla iletişim kanallarının önceden kurulması da önemlidir. Olay anında kime, hangi kanaldan ulaşılacağı bilinmelidir. Bu bilgiler güncel tutulmalıdır. Olay müdahale planı bu iletişimi de kapsamalıdır. Tatbikat yapılabilir. Süreç sınanır.

Etki Alanı ve Süre

Bir kaçırma olayının etkisi, duyurunun ne kadar yayıldığına ve ne kadar sürdüğüne bağlıdır. Dar bir bölgede kalan duyurular sınırlı etki üretirken, geniş yayılan duyurular küresel kesinti yaratabilir. Yayılma hızı, sağlayıcıların filtreleme politikalarına bağlıdır. Filtreleme yapan sağlayıcılar duyuruyu durdurur. Bu nedenle ekosistem kalitesi belirleyicidir. Kolektif çaba gerekir.

Süre ise tespit ve müdahale hızıyla belirlenir. İzleme yapan kurumlar dakikalar içinde fark eder ve müdahale başlatır. İzleme yapmayanlar ise müşteri şikâyetleriyle öğrenir. Bu fark, saatlere varan bir gecikme üretir. İzleme yatırımı bu gecikmeyi ortadan kaldırır. Maliyeti düşüktür. Getirisi yüksektir.

Müdahale, sağlayıcılarla iletişim ve doğru duyurunun yeniden yapılmasıyla gerçekleşir. Bazı durumlarda daha dar bir blok duyurularak trafik geri çekilir. Bu teknik geçici bir çözümdür ve dikkatli uygulanmalıdır. Kalıcı çözüm, sahte duyurunun kaynağında durdurulmasıdır. Süreç iletişim gerektirir. Hazırlık farkı yaratır.

Sektörel İş Birliği

Bu tehdit türüyle mücadele, tek bir kurumun çabasıyla çözülemez. İnternet yönlendirme güvenliği, tüm ekosistemin katılımını gerektirir. Sektörel girişimler, sağlayıcıların ortak filtreleme ve doğrulama uygulamaları benimsemesini teşvik eder. Bu girişimlere katılan sağlayıcıların tercih edilmesi, ekosistemi güçlendirir. Kurumsal tedarik kararı bu kriteri içerebilir. Kolektif fayda üretir.

Bilgi paylaşımı da değerlidir. Yaşanan olayların sektörel yapılar üzerinden paylaşılması, benzer olayların erken tespitini sağlar. Bu paylaşım, kurumun kendi savunmasını da güçlendirir. Karşılıklı bilgi akışı kurulur. Katılım politikayla desteklenir. Süreç tanımlanır.

Ayrıca izleme hizmetlerinin toplu kullanımı da bir seçenektir. Sektörel yapılar, üyeleri için ortak izleme sağlayabilir. Bu model maliyeti düşürür ve küçük kurumların da erişmesini sağlar. Kapsam genişler. Ekosistem güçlenir. Katılım önerilir.

Test ve Doğrulama

Kurumun kendi bloklarına ait duyuruların doğru yapılandırıldığı düzenli olarak sınanmalıdır. Bağımsız gözlem noktalarından yapılan sorgular, duyuruların nasıl göründüğünü gösterir. Beklenmedik bir sonuç, yapılandırma hatasına işaret eder. Bu kontrol otomatikleştirilebilir. Uyarı tanımlanır. İnceleme başlatılır.

Yedek yolların da sınanması gerekir. İkinci bir sağlayıcı üzerinden yapılan duyuruların doğru çalıştığı doğrulanmalıdır. Yalnızca ana yolun sınanması eksik kalır. Kesinti anında yedek yolun çalışmadığı anlaşılırsa etki büyür. Test planlı yapılır. Sonuçlar kaydedilir.

Privia Security olarak internete açık varlıkların erişilebilirlik risklerini siber risk analizi kapsamında değerlendiriyoruz.